AI-agents kunnen nu betalen. Onderzoekers blijven ze om de tuin leiden

Stel je voor dat je een AI-assistent vraagt een treinkaartje voor je te boeken, en dat hij het gewoon doet: hij vindt het tarief, betaalt en stuurt je de bevestiging. Geen kaartgegevens intikken, geen knop "aankoop bevestigen". Dat is de belofte van "agentische betalingen", en enkele van de grootste namen in tech en financiën bouwen daar nu de leidingen voor.

Maar de interessantste signalen op dit terrein komen niet van productlanceringen. Ze komen uit onderzoekslabs, waar beveiligingsonderzoekers laten zien hoe deze systemen te misleiden zijn, en van advocatenkantoren die Europa's nieuwe betaalregels lezen en merken dat AI-agents er helemaal niet in voorkomen.

Dit is het verhaal van een technologie waarbij de problemen eerder opduiken dan de klanten. Dat is vaak precies het moment om op te letten.

Wat "agentbetalingen" eigenlijk zijn

Een AI-agent is software die niet alleen vragen beantwoordt maar ook handelt: zoeken, boeken, kopen. Om ergens voor te betalen, heeft hij een manier nodig om geld te verplaatsen die niet afhangt van een mens die een betaalformulier invult.

Daarvoor zijn verschillende concurrerende standaarden verschenen. De bekendste zijn:

• x402, gestart door Coinbase. Het blaast een oude, ongebruikte webcode nieuw leven in, "402 Payment Required" (betaling vereist), zodat een website een agent om een minibetaling kan vragen, vaak in stablecoins, voordat ze data of een dienst levert. In juli 2026 ging het over naar een neutrale stichting onder de Linux Foundation.
• AP2, het Agent Payments Protocol van Google, dat werkt met ondertekende "mandaten": een digitale instructie van de gebruiker over wat de agent mag kopen, en tot welk bedrag.
• ACP, het Agentic Commerce Protocol, een andere open specificatie voor het afrekenen door agents.

Ontwikkelaars zijn duidelijk geïnteresseerd. Op GitHub heeft het x402-project zo'n 6.700 sterren en 2.200 kopieën ("forks") waarop anderen bouwen, AP2 ongeveer 3.300 sterren en ACP ongeveer 1.500. Ook kaartnetwerken werken aan speciale betaaltokens voor agents.

Hoeveel geld gaat er echt om? Heel weinig

Hier botst de hype op de werkelijkheid. De zorgvuldigste schatting komt uit een rapport van Visa en databedrijf Artemis, op basis van gegevens tot april 2026. Na het wegfilteren van nep-"wash"-transacties en tests vonden ze dat er ongeveer 15 miljoen dollar via x402 was gegaan, verspreid over zo'n 110 miljoen betalingen, ongeveer 14 cent per stuk. De ruwe, ongefilterde cijfers kwamen uit op zo'n 136 miljoen dollar; het filter haalde dus bijna 90% van de dollars weg.

Sindsdien lopen de meters sterk uiteen. Een ruwe teller op de blockchain toont constant verkeer tussen machines, terwijl andere trackers een ineenstorting in waarde melden: de afwikkeling was tot augustus 93% gedaald over het jaar, volgens gegevens van Helios Analytics die CCN aanhaalt, tegenover pieken van bijna 800.000 dollar per dag eind 2025. Niemand heeft nog een neutraal, gecontroleerd cijfer voor echte agentbetalingen.

Wat overblijft, is vooral software die andere software betaalt voor stukjes data of rekenkracht, niet mensen die treinkaartjes kopen. Als agents vandaag iets kopen voor consumenten, gebruiken ze meestal gewone kaarten. Eén start-up uit de zomerlichting 2026 van Y Combinator, Agentcard, geeft gewoon prepaid virtuele Visa-kaarten uit aan AI-agents.

Onderzoekers vonden eerst de zwakke plekken

Terwijl het echte volume klein blijft, groeit de academische aandacht snel. Drie publicaties uit 2026 springen eruit.

"Five Attacks on x402" (Vijf aanvallen op x402), in mei gepubliceerd door onderzoekers van Ohio State, het Australische CSIRO en de Universiteit van Manchester, testte het protocol met meer dan 25.000 betaalverzoeken. Ze lieten zien dat een gebruiker kon worden belast zonder de dienst te krijgen, dat één betaling 248 keer werd hergebruikt om een dienst te ontgrendelen op een live eindpunt, dat betaalde inhoud weglekte via gewone webcaches en dat een nepserver bijna 72% van het agentverkeer onderschepte tijdens het zoeken naar diensten. Ze vonden 11 kwetsbaarheden in drie opensource-toolkits.

Een beveiligingsanalyse van Googles AP2, gepubliceerd in augustus, bracht 48 verschillende dreigingen in kaart, waarvan acht als zeer ernstig. De centrale bevinding is het belangrijkst: een geldig ondertekend mandaat garandeert niet dat de gebruiker de betaling echt wilde als de informatie die de agent vóór het tekenen zag, was gemanipuleerd.

Een formele analyse van vier protocollen (x402, MPP, ACP en AP2), eveneens uit augustus, gebruikte wiskundige verificatietools om 86 testgevallen te draaien. Veertig daarvan leverden bevindingen op die nog niet eerder waren beschreven.

Deze aanvallen zijn vooral getest op referentietoolkits en testnetwerken. Grote operators in productie, zoals Coinbase en Cloudflare, hebben er misschien al een aantal opgelost. Maar ze laten zien dat de beveiligingslaag rond agentbetalingen nog lang niet af is.

Europa's nieuwe regels noemen AI-agents niet

De Europese Unie herschrijft al jaren haar betaalregels, bekend als PSD3 en de Verordening betalingsdiensten (PSR). De definitieve compromisteksten zijn in april 2026 ter goedkeuring verstuurd; publicatie wordt in de tweede helft van het jaar verwacht. De regels zouden 21 maanden na inwerkingtreding gaan gelden.

Volgens een samenvatting van de juridische tak van PwC bevat de tekst geen bepalingen over AI-agents, door agents gestarte betalingen of betaalmandaten. Een analyse uit september van advocatenkantoor Annerton zet de open vragen op een rij: telt een vooraf gegeven mandaat als toestemming voor een betaling, kan een agent zelf een gereguleerde betaaldienst zijn, en hoe moet sterke klantauthenticatie, de stap "bevestig in je bankapp", werken als een machine namens jou handelt?

De algemene regels gelden nog steeds, en ze wijzen één kant op. De betaaldienstverlener blijft aansprakelijk als de authenticatie faalt of als hij verdachte transacties mist, en de eigen aansprakelijkheid van een consument is begrensd op 50 euro. Onze lezing van de analyses, een interpretatie en geen vaststaand recht, is dat banken en betaalbedrijven in de EU het meest waarschijnlijk de verliezen dragen als een gemanipuleerde agent ergens voor betaalt. Dat zou hen de natuurlijke eerste klanten maken van tools die controleren wat een agent echt is gevraagd.

Ook de Europese Centrale Bank let op. In september opende ze een oproep aan bedrijven om mee te doen aan haar innovatieplatform voor de digitale euro, met een werkstroom "AI in betalingen" over AI-agents en microbetalingen in 2027.

Het geld begint te volgen, langzaam

Als betaalbedrijven tools nodig hebben om agents te controleren, moet iemand die bouwen. In Europa staat die "vertrouwenslaag" nog in de kinderschoenen:

• Ralio in Londen haalde in april 2,5 miljoen dollar op in een pre-seedronde. Het toetst elke agentbetaling aan regels, stuurt twijfelgevallen naar een mens en legt het beslisspoor vast.
• SolvaPay in Stockholm haalde, ook in april, 2,4 miljoen euro op om softwarediensten AI-agents rechtstreeks te laten afrekenen.
• Cygrid in Berlijn haalde in oktober 2,66 miljoen euro op om te bepalen wat identiteiten van AI-agents mogen doen, al richt het zich niet op betalingen.

Ter vergelijking: het Amerikaanse Baselayer haalde in september 35 miljoen dollar op in een serie A voor een "Know Your Agent"-bewijs, ongeveer tien keer zoveel als de Europese rondes.

Ook gevestigde partijen positioneren zich. Een gesponsorde patentanalyse van GlobalData liet zien dat het aandeel van Mastercard in patentpublicaties over AI-agents in een jaar steeg van 0,7% naar 5%, waaronder een aanvraag over controleerbare betaaldelegatie. Dat van Visa bewoog nauwelijks.

Waarom dit ertoe doet, ook als je nooit crypto aanraakt

Je kunt dit allemaal afdoen als nichetechnologie. Maar de onderliggende vraag, wie betaalt als software een fout maakt met jouw geld?, bereikt gewone bankklanten lang voordat de meeste mensen een AI-agent laten winkelen.

De nieuwe EU-regels bevatten al enkele beschermingen die de richting aangeven. De tekst geeft consumenten recht op terugbetaling als fraudeurs zich voordoen als hun betaaldienstverlener, en zegt dat het doorlopen van de authenticatiestap op zichzelf niet genoeg is om te bewijzen dat een betaling is goedgekeurd. Samen met de grens van 50 euro voor de eigen aansprakelijkheid van de betaler wijst dat erop dat toezichthouders eerder de persoon beschermen dan de formaliteit. Als die aanpak doorwerkt naar AI-agents, komen de kosten van een gemanipuleerde agent vooral bij banken en betaalbedrijven terecht. Dat geeft hen een sterke reden om betere waarborgen te eisen voordat ze agents vrij laten uitgeven.

Voor wie deze systemen bouwt, wijst het onderzoek op een duidelijk gat: iets dat vóór het moment van tekenen staat, controleert wat de agent echt is gevraagd en wat hij onderweg heeft gelezen, en een onvervalsbaar logboek bijhoudt. Of dat een los product wordt of een functie in bestaande banksystemen, is een van de open vragen van de komende twee jaar.

Wat kan er misgaan?

• Het volume komt misschien nooit op gang. Als agents gewone kaarten blijven gebruiken, kunnen nieuwe protocollen een niche blijven.
• Algemene regels kunnen volstaan. EU-toezichthouders kunnen agents afhandelen via bestaande regels voor authenticatie en aansprakelijkheid, of via technische richtsnoeren, voordat een start-up een voorsprong krijgt.
• De aanvallen zijn misschien al verholpen in de grote productiesystemen die het meeste echte verkeer verwerken.
• Kaartnetwerken kunnen de oplossing inbouwen. Visa en Mastercard kunnen risicoscores in hun eigen agentprogramma's opnemen, waardoor er minder ruimte is voor onafhankelijke start-ups.

Waar je op moet letten

• Een neutrale, gecontroleerde telling van echte agentbetalingen. De huidige meters verschillen ordes van grootte.
• Cloudflares Monetization Gateway, gelanceerd in juli 2026 en afgewikkeld via x402, is het enige product met groot bereik dat de volumes nieuw leven kan inblazen.
• Officiële publicatie van PSD3 en de PSR in het Publicatieblad van de EU, en eventuele richtsnoeren van de Europese Bankautoriteit over hoe mandaten en authenticatie voor agents gelden.
• Grotere financieringsrondes voor Europese start-ups die agents verifiëren, een teken dat investeerders geloven dat banken hiervoor gaan betalen.
• Patentaanvragen van Mastercard over gedelegeerde betalingen, die kunnen bepalen wat anderen mogen bouwen.

De technologie waarmee machines elkaar kunnen betalen, bestaat. Of je er een je kaart zou toevertrouwen, is een andere vraag, en op dit moment beantwoorden onderzoekers die sneller dan de markt.